Fiche mémo

Filtres réseau

Deux syntaxes à ne pas confondre : BPF filtre à la capture (tcpdump, et Wireshark au démarrage) ; les filtres d'affichage Wireshark et tshark filtrent à la lecture. La démarche d'analyse est dans Network Traffic Analysis.

CJCADéfense

BPF et Wireshark côte à côte

Je veux…	BPF (capture)	Wireshark (affichage)
Un hôte	`host 10.0.0.5`	`ip.addr == 10.0.0.5`
Une source	`src host 10.0.0.5`	`ip.src == 10.0.0.5`
Un réseau	`net 10.0.0.0/24`	`ip.addr == 10.0.0.0/24`
Un port	`port 443`	`tcp.port == 443`
Port de destination	`dst port 445`	`tcp.dstport == 445`
Un protocole	`icmp`, `udp`, `arp`	`icmp`, `dns`, `http`
Exclure	`not port 22`	`!(tcp.port == 22)`
Combiner	`host A and port 80`	`ip.addr == A && tcp.port == 80`
SYN seuls	`'tcp[tcpflags] == tcp-syn'`	`tcp.flags.syn == 1 && tcp.flags.ack == 0`

Filtres d'affichage utiles en analyse

Filtre	Montre
http.request.method == "POST"	Envois de formulaires et de données
http.authorization	Authentification HTTP Basic (identifiants en base64)
ftp \|\| telnet	Protocoles en clair
dns.qry.name contains "x"	Requêtes DNS contenant un mot
dns.qry.type == 16	Requêtes DNS TXT
tls.handshake.extensions_server_name	Noms de domaine visités en HTTPS (SNI)
smb2	Trafic SMB récent
kerberos	Échanges Kerberos
arp.duplicate-address-detected	Une IP annoncée par deux adresses MAC
tcp.analysis.flags	Retransmissions et anomalies TCP
frame contains "admin"	Paquets contenant une chaîne

Options tcpdump

Option	Effet
-i	Interface d'écoute (-D pour les lister)
-nn	Ne résout ni les noms d'hôte ni les ports
-w / -r	Écrire dans / lire depuis un fichier pcap
-A / -X	Contenu en ASCII / en hexadécimal et ASCII
-c	S'arrêter après N paquets
-s 0	Capturer les paquets en entier
-v / -vv	Plus de détails

tshark

# Filtre d'affichage et champs choisis
tshark -r capture.pcap -Y 'http.request' -T fields -e ip.src -e http.host -e http.request.uri
# Statistiques de conversations TCP
tshark -r capture.pcap -qz conv,tcp
# Hiérarchie des protocoles
tshark -r capture.pcap -qz io,phs